對信息安全風(fēng)險評估中幾個重要問題的認識

摘要：與世界其他國家特別是發(fā)達國家相比，我國對于信息的研究歷程較短；隨著網(wǎng)絡(luò)信息技術(shù)的快速發(fā)展，也正在不斷暴露出網(wǎng)絡(luò)安全問題；而建立信息安全體系的基礎(chǔ)就是有關(guān)信息安全風(fēng)險評估，它是構(gòu)成信息系統(tǒng)安全工程的一個重要部分；基于此，有關(guān)網(wǎng)絡(luò)信息安全風(fēng)險評估工作在當(dāng)前最需解決的幾個問題，在此做了一些探討。

關(guān)鍵詞：信息安全、風(fēng)險評估、重要問題

中圖分類號：TP309 文獻標(biāo)識碼：A 文章編號：1007-9599 （2012） 17-0000-02

在現(xiàn)階段，由于快速發(fā)展的信息技術(shù)，致使那些極大影響著國計民生的關(guān)鍵信息資源，從其規(guī)模來看，具有越來越大的變化趨勢，至于其信息系統(tǒng)的結(jié)構(gòu)，具有越來越高的復(fù)雜程度；在當(dāng)前要促使我國國民經(jīng)濟的持續(xù)發(fā)展以及能夠順利進行信息化建設(shè)，其中的一個關(guān)鍵因素就是要讓這些信息資源以及信息系統(tǒng)的安全性得到有力保障。而有關(guān)可用性、機密性以及完整性等等內(nèi)容正是信息安全目標(biāo)的具體表現(xiàn)。在當(dāng)前進行安全建設(shè)一個出發(fā)點就是要進行信息安全風(fēng)險評估，進行風(fēng)險評估具有很多重要意義，其中把傳統(tǒng)的以技術(shù)驅(qū)動為導(dǎo)向的安全體系結(jié)構(gòu)設(shè)計進行有力改變，這是它的一個重要意義；有關(guān)，信息安全風(fēng)險評估，其對信息系統(tǒng)安全風(fēng)險的識別，主要是結(jié)合資產(chǎn)的重要程度來進行，在遵循成本—效益這一原則的基礎(chǔ)上，當(dāng)信息系統(tǒng)面臨著以下這兩種情況時，對它進行全面評估：第一種情況，當(dāng)信息系統(tǒng)面臨著威脅；第二種情況，當(dāng)信息系統(tǒng)因本身脆弱性而被威脅源所利用、導(dǎo)致本身可能出現(xiàn)安全問題、由此可見，所謂信息安全風(fēng)險評估，就是基于安全管理這個角度考慮，采用合理的手段和分析方法，對有關(guān)信息系統(tǒng)以及信息化業(yè)務(wù)，當(dāng)其面臨來自自然或者人為威脅時所產(chǎn)生的脆弱性進行比較系統(tǒng)地分析，并對可能造成安全事件的危害程度進行相應(yīng)的評估，在此基礎(chǔ)上，并能夠把那些具有防御效果的對策以及整改措施有針對性地提出來，以讓網(wǎng)絡(luò)和信息安全能夠得到最大的保障。

1 有關(guān)信息安全風(fēng)險評估中的幾個重要問題的認識

1.1 對有關(guān)網(wǎng)絡(luò)信息安全的主要內(nèi)容以及主要因素這個重要問題的認識

（1）有關(guān)網(wǎng)絡(luò)信息安全的主要內(nèi)容。所謂網(wǎng)絡(luò)信息安全，顧名思義就是指當(dāng)前網(wǎng)絡(luò)中各種各樣網(wǎng)絡(luò)信息的安全，這是從狹義這個層面來考慮的；如果從廣義這個層面來看，除了前面所提到的各種信息安全外，還包括整個網(wǎng)絡(luò)系統(tǒng)的安全，諸如各種軟硬件、存儲以及傳輸、數(shù)據(jù)以及數(shù)據(jù)處理等等使用過程?？偟目磥?，網(wǎng)絡(luò)信息安全具有以下五大方面上的典型特征，如下表所示：

五大典型特征具體含義

①具有保密性特征也就是不準(zhǔn)把有關(guān)網(wǎng)絡(luò)信息泄漏給非授權(quán)的實體或者個人

②具有完整性特征也就是對于未經(jīng)授權(quán)的信息，一律不準(zhǔn)對其進行修改或者加以破壞

③具有可用性特征對于那些合法的用戶，能夠正常訪問相關(guān)的信息

④具有可控性特征能夠有效并且合法控制相關(guān)的信息內(nèi)容及其傳播過程

⑤具有可審查性特征為使能事后查詢核對，在信息使用過程中要而且必須有進行相關(guān)的記錄

表一：網(wǎng)絡(luò)信息安全的典型特征

（2）有關(guān)網(wǎng)絡(luò)信息安全的風(fēng)險因素。為了能夠?qū)@個網(wǎng)絡(luò)信息安全問題所具有的復(fù)雜性進行有效解決并且能夠順利地找到一個解決或者考慮這類問題的出發(fā)點，就必須從研究有關(guān)網(wǎng)絡(luò)信息安全的那些風(fēng)險因素入手，為了更好地認識和研究有關(guān)這些網(wǎng)絡(luò)信息安全風(fēng)險因素，在現(xiàn)階段，可以把它們分為幾大類型，如下表所示：

主要類型具體內(nèi)容

①來自自然方面的因素例如火災(zāi)、水災(zāi)、地震、雷電、臺風(fēng)、寒潮、海嘯等等

②來自網(wǎng)絡(luò)硬件方面的因素例如機房的（路由器、交換機以及服務(wù)器）等，因受外界因素（溫度、濕度、灰塵、電磁干擾）等所產(chǎn)生的影響

③來自軟件方面的因素主要包括①機房設(shè)備（機房服務(wù)器和管理軟件等），②用戶計算機操作系統(tǒng)，③各種服務(wù)器數(shù)據(jù)庫配置的合理性與否，④殺毒軟件、防火墻等等其他應(yīng)用軟件

④來自人為方面的因素具體包括那些對網(wǎng)絡(luò)信息進行使用和管理的種種行為所帶來的種種影響，諸如惡意代碼、木馬攻擊、操作失誤、數(shù)據(jù)泄露、騙取口令、拒絕服務(wù)等等

表二：網(wǎng)絡(luò)信息安全風(fēng)險因素的主要類型

1.2 對有關(guān)安全風(fēng)險評估方法這個重要問題的認識

（1）有關(guān)定制個性化這種評估方法。在當(dāng)前有關(guān)比較標(biāo)準(zhǔn)的評估方法極其流程雖然已經(jīng)有了很多種，但是在具體的實際應(yīng)用當(dāng)中，單純的套用或者拷貝這些方法是不可取的，比較正確的做法應(yīng)該是把它們作為一個參考，結(jié)合企業(yè)的具體情況以及企業(yè)相關(guān)安全風(fēng)險評估方面的能力，對這些標(biāo)準(zhǔn)的評估方法進行重新組合，以產(chǎn)生出具有個性化特點的評估方法，從而促使相關(guān)進行的評估服務(wù)能夠具有靈活性以及可裁剪性的特點。具體的評估種類比較多，諸如網(wǎng)絡(luò)結(jié)構(gòu)評估、IT安全評估、滲透測試以及整體評估等等。

（2）有關(guān)安全整體框架的設(shè)計。進行風(fēng)險評估，其目的不僅僅要懂得風(fēng)險，更為重要的是要進行風(fēng)險管理并為之提供所需要的依據(jù)。管理風(fēng)險，其安全整體框架在于評估的直接輸出；但是對于具體的企業(yè)來說，由于它們所處的環(huán)境不一樣，各自的需求也都不相同，此外，從他們工作層面這個角度考慮，其可供參考的模版都不是很多，這就到來了不是很多的整體框架應(yīng)用。但是，把最近一、兩年內(nèi)的框架完成好，這是企業(yè)至少也要做到的，這樣才有可能做到有據(jù)可依。

（3）有關(guān)多用戶決策的評估。由于不同的問題可以被不同層面的用戶所看到，因而要對風(fēng)險進行全面了解，有關(guān)多用戶溝通評估這項工作就要經(jīng)常進行。把多用戶的相關(guān)決策過程取自于其評估過程，將大大有利對風(fēng)險進行全面的了解和深入的理解，并且能夠把對風(fēng)險的管理真正落實到行動上。很多實踐表明，讓多用戶共同參與，具有非常顯著的效果。因此，進行多用戶相關(guān)的決策評估，具有一個具體的方法以及流程也顯得極其重要。

1.3 對有關(guān)風(fēng)險評估過程這個重要問題的認識

（1）準(zhǔn)備階段—前期。在這一階段，主要的工作有，首先要明確所評估的目標(biāo)；其次是對于所涉及的評估范圍要進行確定，并且要把相關(guān)的協(xié)議以及合同簽署好；最后要把已經(jīng)存在的那些被評估對象的相關(guān)材料進行接收，并就此對評估對象展開其研究調(diào)查工作。

（2）現(xiàn)場階段—中期。在這一階段，相關(guān)測評方案要進行編寫，并且要把相應(yīng)的管理問卷以及現(xiàn)場測試表準(zhǔn)備好，在這個基礎(chǔ)上，再把調(diào)查研究階段以及現(xiàn)場階段的測試有條不紊地進行開展。

（3）評估階段—后期。在最后這一階段，要把測試報告進行系統(tǒng)編寫，相關(guān)調(diào)查研究要進行相應(yīng)的補充和完善，在把這兩項重要工作完成后，評估者要據(jù)此得出最終的風(fēng)險評估報告。

2 結(jié)束語

總而言之，建設(shè)信息系統(tǒng)管理體系和安全體系的基礎(chǔ)就是信息安全風(fēng)險評估；進行風(fēng)險評估，不僅可以讓信息系統(tǒng)的安全狀況得到進一步的明確，也可以讓信息系統(tǒng)的主要安全風(fēng)險得到進一步的明確；因此，在當(dāng)前進行信息安全風(fēng)險評估，對于及早發(fā)現(xiàn)信息系統(tǒng)的安全隱患并且采取相應(yīng)的防御方案以保證信息系統(tǒng)安全具有極其重要的意義。

參考文獻：

[1]王毅剛.信息安全風(fēng)險評估的策劃[J].信息技術(shù)與標(biāo)準(zhǔn)化，2008，9.

[2]賈穎禾.信息安全風(fēng)險評估[J].中國計算機用戶，2004，24.

[作者簡介]陳科（1983-），男，河南西平，助理工程師，工程碩士，河南省電子產(chǎn)品質(zhì)量監(jiān)督檢驗所，信息安全；李承浩（1985-），男，河南駐馬店，工程師，大學(xué)本科，河南省電子產(chǎn)品質(zhì)量監(jiān)督檢驗所，信息安全；吳蓓蓓（1985-），女，河南三門峽，工程師，大學(xué)本科，黃河水利委員會信息中心。